Javascript

JavaScript / JSON

Über die Nutzung von JavaScript (JS) ist es möglich einfache HTML-Dokumente um zusätzliche Funktionalität zu erweitern. JS gehört zu den ECMA-Scripten (ECMA-262) und wird als eine der wenigen Webtechnologien nicht durch das W3C sondern durch die ECMA International (European Computer Manufacturers Association) spezifiziert (ECMA, 2011).

JavaScript wird von allen gängigen Browsern unterstützt und nach dem Laden des Skriptes in einer Sandbox ausgeführt. Es ist möglich das Laden und Ausführen von JavaScript durch die Browsereinstellungen zu unterbinden. Von dieser Möglichkeit wird nur noch selten Gebrauch gemacht (Zakas, 2010), da viele Webapplikationen auf JavaScript aufbauen und dessen Verfügbarkeit voraussetzen. Häufig wird ein Nutzer zur Aktivierung des JavaScript aufgefordert, sollte dieser dessen Ausführung unterbunden haben. Der Funktionsumfang von JS ist enorm und reicht von der dynamischen Manipulation des DOM bis hin zum asynchronen Nachladen von Daten. Die sofortige Kontrolle von Nutzereingaben auf deren Richtigkeit und die Anzeige zusätzlicher Informationen und Hinweisen gehört zu den populärsten Einsatzgebieten.

Durch eine Vielzahl an kritischen Sicherheitslücken in den Sandbox-Implementierungen (Schäfer, 2012), wurde die Verwendung von JavaScript zu Recht als äußerst fragwürdig eingestuft. Durch umfangreich Nachbesserungen und Bugfixes in den JavaScript-Engines und Sandboxen, konnten viele sicherheitsrelevante Probleme behoben werden. In Folge dessen wird JS in vielen Webapplikationen zur Verbesserung der Nutzerinteraktion eingesetzt. Dank ständiger Verbesserungen und neuer Sicherheitskonzepte wie die Same-Origin-Policy, welche den Zugriff auf Domains beschränkt und so das Ausführen von Skripten fremder Domains verhindert, ist der negative Einsatz rückläufig (Eich, 2011).

Dennoch kann über fehlerhafte Implementierungen illegaler JS-Code in eine bestehende Anwendung eingeschleust werden. Über sogenanntes Cross-Site Scripting (XSS) ist es möglich einen Server mit Schadcode zu infizieren und über diesen sämtliche Clients zu erreichen. Diese Probleme sind in erster Linie nicht auf JavaScript oder eine andere Skriptsprache zurückzuführen, da das konzipierte Sicherheitskonzept der eigentlichen Anwendung in diesem Fall Lücken aufweist.